Como hemos comentado en este blog en muchas ocasiones, el plazo de conservación de las imágenes de videovigilancia se encuentra perfectamente definido en el artículo 22.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD) fijando el plazo de un mes desde la captación de dichas imágenes. No obstante, dicho plazo puede ser mayor, pero únicamente en determinadas circunstancias dispuestas por la ley.
En el presente articulo vamos a analizar las situaciones que pueden propiciar una conservación superior a ese plazo de un mes, las cuales ya estaban descritas en la LOPDGDD, y las vamos a comparar con el Dictamen que la Agencia Catalana de Protección de Datos (en adelante APDCAT), ha publicado recientemente en relación con la consulta formulada por una empresa pública sobre la conservación de imágenes obtenidas por el sistema de videovigilancia.
Para comenzar con este análisis debemos acudir a la LOPDGDD, en concreto a su artículo 22.3 mencionado anteriormente y en el cual se dispone lo siguiente:
“Artículo 22. Tratamientos con fines de videovigilancia.
1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.
2. Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.
No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.
3. Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.
No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.”
Del artículo, en particular del plazo de conservación, podemos extraer las siguientes conclusiones:
1.- Desde que se capten las imágenes, el responsable del tratamiento tiene un mes para eliminarlas.
2.- No obstante, si las imágenes de videovigilancia hubieran de ser conservadas para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, podrán ser conservadas un plazo superior al general de un mes, pero deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.
Así se recoge también en la Guía de videovigilancia publicada por la Agencia Española de Protección de Datos, en adelante AEPD.
Pinchando aquí podéis comprobar el resultado de una incorrecta conservación de las imágenes, en concreto de las consecuencias a las que se tuvo que enfrentar una empresa por conservar ciertas imágenes de videovigilancia un plazo muy superior al marcado por la ley sin que se cumplieran todas las exigencias marcadas en el artículo 22.3 de la LOPDGDD, como la entrega de dicha grabación a las autoridades competentes en el plazo de 72 horas y su no eliminación posterior.
Una vez descrita la norma general, pasamos a analizar las novedades introducidas en el Dictamen publicado por la APDCAT sobre el plazo de conservación de las imágenes de videovigilancia:
Este dictamen tiene su origen en una consulta formulada por el Delegado de Protección de Datos de una empresa pública, en la que plantea si, en determinados casos, sería posible conservar de manera bloqueada las imágenes obtenidas por su sistema de videovigilancia más allá del plazo de un mes legalmente establecido.
La empresa en cuestión alega que se han identificado algunos escenarios en los que, la supresión de las imágenes en el plazo de conservación de 30 días, por no tener entidad suficiente para su entrega a las autoridades competentes, podría traducirse en una posición de indefensión.
Respecto a cuáles son estos «escenarios» identificados, en la consulta se apunta lo siguiente: «Teniendo en cuenta que los plazos para resolver trámites internos derivados de daños de alcance menor que afecten a personas, bienes o instalaciones de la organización, así como para emprender determinadas acciones por parte de los interesados (plazos de prescripción) es muy superior al periodo de conservación de las imágenes, esto puede suponer la pérdida de evidencias de cumplimiento por parte de (…) y por tanto, la imposibilidad de defenderse hacia posibles reclamaciones u otras acciones ulteriores de los interesados, así como también la imposibilidad de probar la identidad del causante de los daños.»
Expuesto esto, el DPD plantea a la Autoridad Catalana de Protección de Datos las siguientes cuestiones:
1.- Sobre la posibilidad de realizar el bloqueo de los datos con el fin de conservarlos más allá del plazo de un mes previsto y utilizarlos en los supuestos que se han descrito, durante el tiempo en que se necesiten hasta finalizar los trámites internos, o bien para el ejercicio de acciones judiciales propias o de terceros.
2.- En el caso de que sea posible aplicar este bloqueo, quién podría acceder a visualizar las imágenes bloqueadas en el momento en que se necesiten como prueba, y cuáles serían los requisitos a cumplir de acceso y de custodia de las mismas.
3.- En el caso de que no sea factible el bloqueo, si existe una alternativa para poder contar con estas imágenes en los supuestos que se han identificado.
La APDCAT responde a las anteriores cuestiones. Comenzamos:
1.- Respecto de la primera de las cuestiones, la APDCAT dice que, a partir de estas manifestaciones, no es posible conocer a qué situación en concreto se quiere hacer referencia para la conservación y posterior tratamiento de las imágenes por parte de la entidad. Si por «daño de alcance menor» que afecta a personas se quiere referencia a posibles actos de vandalismo, por ejemplo, habría que tener en consideración que se trataría en todo caso de conductas tipificadas por el Código Penal (artículos 147 y artículo 263 y ss.), por lo que, una vez constados estos «daños de alcance menor«, las imágenes deberían ponerse a disposición de las autoridades competentes en el plazo máximo de 72 horas. Por lo tanto, lo que sería necesario en este caso es adecuar los procesos internos de la organización para garantizar que se actúa con la máxima diligencia en la comunicación de esta información.
Por otra parte, la mención a la resolución de «trámites internos» podría llevar a pensar en un escenario en el que, ya sea de oficio o bien a raíz de una denuncia de parte, la entidad haya emprendido un procedimiento, sea o no de naturaleza administrativa, o una información previa para esclarecer algún incidente ocurrido en sus instalaciones que afecte, de alguna manera, a personas o bienes.
Así las cosas, cuando una persona sufre algún accidente no es de extrañar que solicite, vía ejercicio del derecho de acceso regulado en el artículo 15 RGPD, una copia de las imágenes captadas por el sistema de videovigilancia con la finalidad de obtener una prueba de cara a poder ejercitar determinadas acciones judiciales y/o contractuales.
En este supuesto, la APDCAT indica que se da la circunstancia de que el plazo máximo de un mes para suprimir las imágenes (artículo 22.3 LOPDGDD) es el mismo plazo previsto para que el responsable del tratamiento resuelva la solicitud de ejercicio del derecho de acceso (artículo 12.3 RGPD). Si tenemos en cuenta que el ejercicio de este derecho de acceso probablemente será posterior al momento en que se captan las imágenes, la fecha de finalización del plazo para resolver la petición de acceso siempre será posterior al plazo previsto para la supresión de las imágenes. Esto, por sí solo, justificaría el tratamiento de las imágenes por parte de la entidad responsable (conservación de una copia) más allá del plazo de un mes que fija el artículo 22.3 del LOPDGDD, al menos hasta que se entreguen a la persona afectada.
En todo caso, hay que tener en consideración en estos casos la concurrencia de un interés legítimo por parte de la persona afectada en la obtención de estas imágenes, concretado en su derecho a la tutela judicial efectiva contenido en el artículo 24 de la Constitución Española.
Ante estas circunstancias, la APDCAT entiende que existiría una base jurídica adecuada para el tratamiento de las imágenes más allá del plazo establecido para su supresión por parte de la entidad responsable, como es la relativa a la «satisfacción de intereses legítimos perseguidos por un tercero» del artículo 6.1.f) del RGPD, es decir, para su conservación hasta el momento en que se entreguen a la persona afectada que las solicita. Las mismas consideraciones pueden hacerse para el caso de que sea la entidad quien decida conservar las imágenes, una vez tiene conocimiento de la formulación de la reclamación, para la defensa de sus derechos.
La Autoridad Catalana apunta que las consideraciones anteriormente descritas no deben entenderse en ningún caso como una obligación general de conservación y de supervisión de todas las imágenes captadas para valorar esta necesidad de conservarlas para posibles futuras reclamaciones, sino de situaciones concretas, como es el ejercicio de un derecho de acceso a ciertas imágenes y/o la formulación de una reclamación. En todo caso, sería necesaria la constancia documental de los motivos por los que se toma la decisión de conservar las imágenes con los fines apuntados, así como de la apertura formal de los procedimientos en cuestión.
2.- En segundo lugar, hay que tener en consideración que en aquellos casos en que se ha considerado o se pudiera considerar que la conservación de las imágenes por la entidad más allá del plazo máximo de un mes podría encontrar suficiente habilitación legal en la concurrencia de alguna de las bases jurídicas del artículo 6 del RGPD, a la vista de la finalidad a que pudiera responder su tratamiento ulterior, la supresión de dichas imágenes no sería pertinente, dado que esta información resultaría necesaria para alcanzar la finalidad pretendida con el tratamiento en cuestión. Consecuentemente, tampoco sería procedente su bloqueo. Ello no quita que la entidad, como responsable del tratamiento, tenga que adoptar las medidas de seguridad técnicas y organizativas adecuadas para garantizar que sólo tendrán acceso a las imágenes aquellas personas que así lo requieran para el ejercicio de las funciones que tienen asignadas, en atención a la finalidad pretendida en cada caso.
Para finalizar, y, en síntesis, la Autoridad Catalana de Protección de Datos considera que la conservación de las imágenes captadas con fines de seguridad más allá del plazo máximo de un mes establecido para su supresión, a los efectos de emplearlas para otros fines, requeriría de la concurrencia de otra base jurídica distinta a la que legitima su tratamiento en origen. En particular, podría resultar suficiente la base jurídica relativa al ejercicio de poderes públicos conferidos por una ley al responsable (artículo 6.1.e) RGPD) o al cumplimiento de una obligación impuesta por ley al responsable (artículo 6.1.c) RGPD), en el caso de que se abra un procedimiento o una información previa para esclarecer algún incidente ocurrido; la relativa a la satisfacción de un interés legítimo perseguido por la persona interesada y/o por la entidad (artículo 6.1.f) RGPD), concretado en todo caso en el ejercicio del derecho a la tutela judicial efectiva (artículo 24 CE); o la atención por parte de la entidad del derecho de acceso a las imágenes por la persona interesada (artículo 15 RGPD), como se apunta en el mencionado informe.
En aquellos casos en que pueda considerarse lícito el tratamiento ulterior de las imágenes, no resultaría procedente su supresión ni su bloqueo mientras resulten necesarias para alcanzar la finalidad pretendida, sin perjuicio de limitar su acceso a las personas que lo requieran en atención a sus funcionesasí como garantizar que no se emplearán para otras finalidades distintas a las que motivaron su tratamiento (art. 5.1 b), 5.1 f)
